Bundesverwaltungsgericht W214 2233710-1

• Dokumenttyp: Entscheidungstext
• Entscheidungsdatum: 29.04.2022
• ECLI: ECLI:AT:BVWG:2022:W214.2233710.1.00

Spruch

W214 2233710-1/19Z

BESCHLUSS

Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende sowie die fachkundigen Laienrichterinnen Mag. Huberta MAITZ-STRASSNIG und Mag. Claudia KRAL-BAST als Beisitzerinnen über die Beschwerde der XXXX vertreten durch Schönherr Rechtsanwälte GmbH, gegen den Bescheid der Datenschutzbehörde vom 03.06.2020, Zl. D205.329 DSB-D205.329/0005-DSB/2019, beschlossen:

A)

I. Das Verfahren wird gemäß § 17 Verwaltungsgerichtsverfahrensgesetz, BGBl. I Nr. 33/2013 idgF (VwGVG) iVm § 38 Allgemeines Verwaltungsverfahrensgesetz 1991 (AVG) hinsichtlich des Spruchpunktes 2.a. des angefochtenen Bescheides bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union (EuGH) über die mit Beschluss des Obersten Gerichtshofes (OGH) vom 18.02.2021, Zl. 6 Ob 159/20f (beim EuGH anhängig unter C-154/21), vorgelegte Frage ausgesetzt.

II. Das Verfahren wird gemäß § 17 Verwaltungsgerichtsverfahrensgesetz, BGBl. I Nr. 33/2013 idgF (VwGVG) iVm § 38 Allgemeines Verwaltungsverfahrensgesetz 1991 (AVG) hinsichtlich der Spruchpunkte 1. und 2.b. des angefochtenen Bescheides bis zur Vorabentscheidung durch den Gerichtshof der Europäischen Union (EuGH) über die mit Beschluss des Bundesverwaltungsgerichtes vom 09.08.2021, Zl. W211 2222613-2/12E (beim EuGH anhängig unter C-487/21), vorgelegten Fragen ausgesetzt.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Begründung

Begründung:

Das Bundeverwaltungsgericht hat erwogen:

1. Feststellungen:

1.1. In seiner an die Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Beschwerde vom 06.05.2019 sowie mit Stellungnahmen vom 13.08.2019 und 25.11.2019 behauptete XXXX (Mitbeteiligter im Verfahren vor dem Bundesverwaltungsgericht, ehemaliger Beschwerdeführer vor der belangten Behörde) eine Verletzung im Recht auf Auskunft gemäß Art. 15 DSGVO durch die Beschwerdeführerin (Beschwerdegegnerin im Verfahren vor der belangten Behörde). Dazu wurde (nachdem in der ursprünglichen Beschwerde zunächst die Nichtbeantwortung des Auskunftsbegehrens moniert wurde) vom Mitbeteiligten zusammengefasst ua. vorgebracht, dass die Beschwerdeführerin keine vollständige Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung seien, und insbesondere auch nicht alle konkreten Empfänger, an die seine Daten übermittelt worden seien, offengelegt habe.

2. Mit dem angefochtenen Bescheid wurde der Beschwerde des Mitbeteiligten teilweise stattgegeben und festgestellt, dass die Beschwerdeführerin den Mitbeteiligten dadurch in seinem Recht auf Auskunft verletzt habe, indem sie am 12.07.2019 eine unvollständige Auskunft erteilt habe und dem Beschwerdeführer keine Kopie der personenbezogenen Daten gemäß Art. 15 Abs. 3 DSGVO, die Gegenstand der Verarbeitung seien, zur Verfügung gestellt habe (Spruchpunkt 1.). Der Beschwerdeführerin wurde aufgetragen, innerhalb einer Frist von 4 Wochen bei sonstiger Exekution die konkreten Empfänger der personenbezogenen Daten des Mitbeteiligten zu bezeichnen (Spruchpunkt 2.a.) und eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung seien, zur Verfügung zu stellen (Spruchpunkt 2.b.). Im Übrigen wurde die Beschwerde als unbegründet abgewiesen (Spruchpunkt 3.).

Begründend führte die belangte Behörde (soweit für das gegenständliche Verfahren relevant) aus, dass gemäß Art. 15 Abs. 1 lit. c leg. cit. die betroffene Person einen Auskunftsanspruch gegen einen Verantwortlichen im Hinblick auf die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden seien oder noch offengelegt würden, habe. Im gegenständlichen Fall habe der Mitbeteiligte zwar persönlich an ihn gerichtete, jedoch weitgehend standardisierte Antworten erhalten. Die Auskunft habe bezüglich der Empfänger der über den Mitbeteiligten gespeicherten Daten lediglich eine allgemeine Formulierung beinhaltet. Die einschlägige Literatur komme betreffend die Frage, ob der Nennung konkreter Empfänger oder lediglich von Empfängerkategorien ein Vorrang einzuräumen sei, zu unterschiedlichen Ergebnissen. Da dem vom Normengesetzgeber der DSGVO verwendeten „oder“ letzten Endes aber kein kumulativer Charakter unterstellt werden könne, sei auf die Rechtsprechung von Verfassungsgerichtshof und Verwaltungsgerichtshof zu verweisen, die sich (zur entsprechenden alten Rechtslage zu § 26 Abs. 1 DSG 2000 und Art. 12 der Datenschutzrichtlinie) mit der Frage, wann eine Beauskunftung von Empfängerkreisen (in der damaligen Terminologie, entsprechend den Kategorien von Empfängern gemäß Art. 15 Abs. 1 lit. c DSGVO) ausreiche und wann konkrete Empfänger zu benennen seien, auseinandergesetzt hätten. Demnach bedürfe es einer Interessensabwägung im Einzelfall, in welche Gesichtspunkte der Datenschutzinteressen der Beteiligten und öffentliche Geheimhaltungsinteressen einzubeziehen seien, um festzustellen, ob konkrete Empfänger oder lediglich Empfängerkreise zu beauskunften seien. Im konkreten Fall stehe das nicht weiter begründungsbedürftige Auskunftsinteresse des Mitbeteiligten an einer möglichst vollständigen Auskunft, insbesondere um unionsrechtlich garantierte subjektive Rechte wie beispielsweise Berichtigungs- und Löschungsrechte auch gegenüber Dritten und anderen Verantwortlichen durchsetzen zu können, dem Geheimhaltungsinteresse der Beschwerdeführerin gegenüber. Aus Sicht der belangten Behörde würden keine schutzwürdigen Interessen der Beschwerdeführerin vorliegen und habe diese gegenständlich solche auch nicht ins Treffen geführt. Zusätzlich lasse sich aus der Tatsache der entgeltlichen Überlassung von Daten durch Adressverlage schließen, dass die Beschwerdeführerin allein aus verrechnungstechnischen Gründen genaue Kenntnis darüber haben müsse, an wen die betreffenden Daten weitergegeben worden seien. Auch habe sie zu keinem Zeitpunkt ausgeführt, dass ihr die konkreten Adressaten unbekannt seien. Zum Recht auf Datenkopie sei auszuführen, dass nach Art. 15 Abs. 3 DSGVO der Verantwortliche eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung seien, zur Verfügung zu stellen haben. Der Anspruch auf Datenkopie stehe selbständig neben dem Anspruch auf inhaltliche Auskunft über die verarbeiteten Daten. Die Beschwerdeführerin habe dem Mitbeteiligten bis Abschluss des gegenständlichen Verfahrens keine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung seien, zur Verfügung gestellt, weshalb spruchgemäß zu entscheiden gewesen sei.

3. Gegen die Spruchpunkte 1. und 2. dieses Bescheides erhob die Beschwerdeführerin fristgerecht Beschwerde an das Bundesverwaltungsgericht. Die Beschwerdeführerin brachte dazu zusammengefasst vor, dass keine Verpflichtung zur Beauskunftung der konkreten Empfänger bestehe, da im konkreten Fall die Beauskunftung aller konkreten Empfänger mit unverhältnismäßig hohem Aufwand verbunden sei, es rechtlich nicht erforderlich sei, konkrete Empfänger zu beauskunften und die Beauskunftung konkreter Empfänger sogar Geschäfts- und Betriebsgeheimnisse offenlegen würde. Weiters brachte die Beschwerdeführerin vor, dass die belangte Behörde weder im Spruch noch in der Begründung konkretisiert habe, was sie unter Kopien personenbezogener Daten verstehe bzw. was genau sie vermisse. Wie dem angefochtenen Bescheid entnommen werden könne, habe die Beschwerdeführerin dem Mitbeteiligten mehrere Übersichtstabellen zur Verfügung gestellt. Alle Übersichtstabellen würden Spalten umfassen, die mit der Überschrift „Datensatz“ oder „gespeicherten Daten“ überschrieben seien. Die in diesen Spalten enthaltenen Angaben seien Kopien personenbezogener Daten oder Ergebnisse statistischer Hochrechnungen. Überdies seien dem Mitbeteiligten die Kopien personenbezogener Daten auch zu den Sendungsinformationen zur Verfügung gestellt worden.

4. Die belangte Behörde machte von der Möglichkeit einer Beschwerdevorentscheidung nicht Gebrauch und legte die Beschwerde samt dem bezughabenden Verwaltungsakt mit Schreiben vom 21.07.2020 dem Bundesverwaltungsgericht zur Entscheidung vor.

5. Der OGH legte mit Beschluss vom 18.02.2021, Zl. 6 Ob 159/20f, folgende Frage dem EuGH, welche zur Zl. C-154/21 anhängig ist, zur Vorabentscheidung vor:

„Ist Art 15 Abs 1 lit c der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, ABl L 119/1 vom 4. Mai 2016, S 1; im Folgenden „DSGVO“) dahingehend auszulegen, dass sich der Anspruch auf die Auskunft über Empfängerkategorien beschränkt, wenn konkrete Empfänger bei geplanten Offenlegungen noch nicht feststehen, der Auskunftsanspruch sich aber zwingend auch auf Empfänger dieser Offenlegungen erstrecken muss, wenn Daten bereits offengelegt worden sind?“

6. Mit Schriftsatz vom 24.03.2021 beantragte die Beschwerdeführerin die Aussetzung des gegenständlichen Beschwerdeverfahrens gemäß § 17 VwGVG iVm § 38 AVG bis zur Entscheidung des EuGH über den Vorlagebeschluss des OGH vom 18.02.2021, 6 Ob 159/20f.

Die Beschwerdeführerin brachte vor, dass nach ständiger Rechtsprechung des Verwaltungsgerichtshofes die Frage, wie Unionsrecht auszulegen sei, eine Vorfrage iSd § 38 AVG bilde. Nach ebenso ständiger Rechtsprechung des OGH sei es iSd Prozessökonomie zweckmäßig und geboten, Verfahren bis zur Entscheidung des EuGH zu unterbrechen, für deren Erledigung dieselbe Rechtsfrage zu klären sei, zu deren Beantwortung der EuGH angerufen worden sei. Da die im Vorabentscheidungsverfahren zu lösende Rechtsfrage auch im gegenständlichen Verfahren entscheidungserheblich sei, werde die Aussetzung des Verfahrens beantragt.

7. Das Bundesverwaltungsgericht forderte die Beschwerdeführerin mit Schreiben vom 15.06.2021 auf, bekanntzugeben, auf welche Art und Weise die personenbezogenen Daten des Mitbeteiligten gespeichert seien, insbesondere ob es sich bei den bereits im Verwaltungsverfahren vorgelegten Auszügen um eine vollständige Aufzeichnung der vorhandenen personenbezogenen Daten des Mitbeteiligten handle bzw. ob Kopien aller personenbezogene Daten des Mitbeteiligten aus sämtlichen Datenbanken, in welchen sie enthalten seien, dem Mitbeteiligten bereits übermittelt worden seien. Weiters wurde um Mitteilung gebeten, ob die personenbezogenen Daten in dieser Form (Tabelle) direkt aus dem System übernommen oder für die Vorlage an den Mitbeteiligten speziell aufbereitet worden seien.

8. Die Beschwerdeführerin führte mit Schriftsatz vom 01.07.2021 zusammengefasst aus, dass die vorgelegten Auszüge vollständig gewesen und dem Mitbeteiligten alle Kopien personenbezogener Daten beauskunftet worden seien, ausgenommen jene Unterlagen, die im Rahmen des Auskunftsersuchens übermittelt worden seien. Nach Auffassung der Beschwerdeführerin und auch nunmehr der belangten Behörde sei eine solche Auskunft auch nicht geschuldet, da sonst die gebotene Möglichkeit einer Negativauskunft ad absurdum geführt würde. Die aus den Datenbanken übernommenen Daten seien für die Vorlage an den Mitbeteiligten aufbereitet worden, indem sie in Tabellenform übertragen und in die Struktur der Auskunft eingefügt worden seien. Eine inhaltliche Änderung der Datenkopien sei nicht erfolgt. Die Zurverfügungstellung von nicht aufbereiteten Datenbankauszügen könne nur zum Vorwurf der Intransparenz führen. Die Auskünfte würden aus den „Rohdaten“ der Paketdatenbanken übernommen werden, auch diese Rohdaten seien bereits aufbereitet, ohne Aufbereitung seien in der Datenbank nur 0en und 1en. Aus Art. 15 Abs. 3 DSGVO könne auch keine Pflicht zur Vorlage eines Datenbankauszugs abgeleitet werden.

9. Das Bundesverwaltungsgericht legte mit Beschluss vom 09.08.2021, Zl. W211 2222613-2/12E, folgende Fragen dem EuGH, welche zur Zl. C-487/21 anhängig sind, zur Vorabentscheidung vor:

„1. Ist der Begriff der „Kopie“ in Art 15 Abs. 3 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, ABl L 119/1 vom 4. Mai 2016, S. 1; im Folgenden: „DSGVO“) dahingehend auszulegen, dass damit eine Fotokopie bzw. ein Faksimile oder eine elektronische Kopie eines (elektronischen) Datums gemeint ist, oder fällt dem Begriffsverständnis deutscher, französischer und englischer Wörterbücher folgend unter den Begriff auch eine „Abschrift“, un „double“ („duplicata“) oder ein „transcript“?

2. Ist Art 15 Abs. 3 Satz 1 DSGVO, wonach „der Verantwortliche eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zur Verfügung stellt, dahingehend auszulegen, dass darin ein allgemeiner Rechtsanspruch einer betroffenen Person auf Ausfolgung einer Kopie – auch – gesamter Dokumente enthalten ist, in denen personenbezogene Daten der betroffenen Person verarbeitet werden, bzw. auf Ausfolgung einer Kopie eines Datenbankauszuges bei Verarbeitung der personenbezogenen Daten in einer solchen, oder besteht damit – nur – ein Rechtsanspruch für die betroffene Person auf originalgetreue Reproduktion der nach Art 15 Abs. 1 DSGVO zu beauskunftenden personenbezogenen Daten?

3. Für den Fall, dass die Frage 2. dahingehend beantwortet wird, dass nur ein Rechtsanspruch für die betroffene Person auf originalgetreue Reproduktion der nach Art 15 Abs. 1 DSGVO zu beauskunftenden personenbezogenen Daten besteht, ist Art 15 Abs. 3 Satz 1 DSGVO dahingehend auszulegen, dass es bedingt durch die Art der verarbeiteten Daten (zum Beispiel in Bezug auf die im Erwägungsgrund 63 angeführten Diagnosen, Untersuchungsergebnisse, Befunde oder auch Unterlagen im Zusammenhang mit einer Prüfung im Sinne des Urteils des Gerichtshofs der Europäischen Union vom 20. Dezember 2017, C-434/16, ECLI:EU:C:2017:994) und das Transparenzgebot in Art 12 Abs. 1 DSGVO im Einzelfall dennoch erforderlich sein kann, auch Textpassagen oder ganze Dokumente der betroffenen Person zur Verfügung zu stellen?

4. Ist der Begriff „Informationen“, die nach Art 15 Abs. 3 Satz 3 DSGVO der betroffenen Person dann, wenn diese den Antrag elektronisch stellt, „in einem gängigen elektronischen Format zur Verfügung zu stellen“ sind, „sofern sie nichts anderes angibt“, dahingehend auszulegen, dass damit allein die in Art 15 Abs. 3 Satz 1 genannten „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ gemeint sind?

a. Falls die Frage 4. verneint wird: Ist der Begriff „Informationen“, die nach Art 15 Abs. 3 Satz 3 DSGVO der betroffenen Person dann, wenn diese den Antrag elektronisch stellt, „in einem gängigen elektronischen Format zur Verfügung zu stellen“ sind, „sofern sie nichts anderes angibt“, dahingehend auszulegen, dass darüber hinaus auch die Informationen gemäß Art 15 Abs. 1 lit a) bis h) DSGVO gemeint sind?

b. Falls auch die Frage 4.a. verneint wird: Ist der Begriff „Informationen“, die nach Art 15 Abs. 3 Satz 3 DSGVO der betroffenen Person dann, wenn diese den Antrag elektronisch stellt, „in einem gängigen elektronischen Format zur Verfügung zu stellen“ sind, „sofern sie nichts anderes angibt“, dahingehend auszulegen, dass damit über die „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ sowie über die in Art. 15 Abs. 1 lit a) – h) DSGVO genannten Informationen hinaus beispielsweise dazugehörende Metadaten gemeint sind?“

10. Mit hg. Schreiben vom 21.03.2022 wurde den Parteien der Vorlagebeschluss des Bundesverwaltungsgerichtes vom 09.08.2021, Zl. W211 2222613-2/12E, übermittelt und ihnen Gelegenheit zur Abgabe einer Stellungnahme gegeben.

11. Mit Stellungnahme vom 05.04.2022 führte die Beschwerdeführerin aus, dass eine Aussetzung des Verfahrens nicht geboten sei, weil Spruchpunkt 2.b – und auch Spruchpunkt 1. – des angefochtenen Bescheides unabhängig von der Beantwortung der Rechtsfrage durch den EuGH zu beheben sei. Dem Mitbeteiligten gehe es offensichtlich darum zu überprüfen, ob die sogenannten „Parteiaffinitäten“ seinem Datensatz tatsächlich nicht zugeschrieben worden seien. Die Beschwerdeführerin verfüge jedoch nach physischer Löschung aller Marketingklassifikationen weder über Datenbankauszüge aus dem Jahr 2019 noch über weiterführenden Informationen zu den Parteiaffinitäten oder sonstigen Marketingklassifikationen. Auch aus den Backups seien sämtliche Marketingklassifikationen gelöscht worden. Der Beschwerdeführerin sei es faktisch nicht möglich, dem Mitbeteiligten zu Spruchpunkt 2.b. weitere Informationen zu erteilen, weshalb der Leistungsauftrag schon aus diesem Grund zu beheben sei. Zudem werde festgehalten, dass der Mitbeteiligte in seinem verfahrenseinleitenden Antrag keine Übermittlung einer „Kopie“ begehrt habe, die Beschwerdeführerin habe von einem solchen Ansuchen erst durch den angefochtenen Bescheid erfahren. Zudem bestehe kein selbstständiger Feststellungsabspruch, die belangte Behörde habe in Spruchpunkt 2. dieselben Rechtsfragen wie in Spruchpunkt 1. entschieden, weshalb dieser als rechtswidrig zu beheben sei.

2. Beweiswürdigung

Die Feststellungen ergeben sich aus dem vorgelegten Verwaltungsakt, dem gegenständlichen Gerichtsakt sowie dem Gerichtsakt zur hg. Zl. W211 2222613-2 und sind unstrittig.

3. Rechtliche Beurteilung

Zu A)

3.1. Gemäß § 38 AVG, der gemäß § 17 VwGVG auch im verwaltungsgerichtlichen Verfahren sinngemäß anzuwenden ist, kann eine Behörde ein Verfahren bis zur rechtskräftigen Entscheidung von Vorfragen, die als Hauptfragen von anderen Verwaltungsbehörden oder von den Gerichten zu entscheiden wären, aussetzen, wenn die Vorfrage schon den Gegenstand eines anhängigen Verfahrens bei ua dem zuständigen Gericht bildet oder ein solches Verfahren gleichzeitig anhängig gemacht wird.

3.2. Nach der Rechtsprechung des VwGH können auf Grundlage des § 38 AVG Verfahren bis zur (in einem anderen Verfahren beantragten) Vorabentscheidung durch den Gerichtshof der Europäischen Union ausgesetzt werden; eine dem EuGH zur Klärung vorgelegte Frage des Unionsrecht kann nämlich eine Vorfrage iSd § 38 AVG darstellen, die zufolge des im Bereich des Unionsrechts bestehenden Auslegungsmonopols des EuGH von diesem zu entscheiden ist (VwGH 18.12.2020, Ra 2020/15/0059; 11.11.2020, Ro 2020/17/0010; 19.12.2000, 99/12/0286). Sie berechtigt zur Aussetzung nach § 38 AVG, wenn sie für das verwaltungsgerichtliche Verfahren präjudiziell ist (vgl zB VwGH 13.12.2011, 2011/22/0316).

3.3. Im gegenständlichen Fall bringt die Beschwerdeführerin einerseits vor, dass im Sinne des Art. 15 Abs. 1 lit. c keine Verpflichtung zur Beauskunftung der konkreten Empfänger bestehe und beruft sich dabei darauf, dass im konkreten Fall die Beauskunftung aller konkreten Empfänger mit unverhältnismäßig hohem Aufwand verbunden sei, es rechtlich nicht erforderlich sei, konkrete Empfänger zu beauskunften und die Beauskunftung konkreter Empfänger sogar Geschäfts- und Betriebsgeheimnisse offenlegen würde, andererseits, dass jene Unterlagen, die im Rahmen des Auskunftsersuchens übermittelt worden seien, nicht zu beauskunften seien und aus Art. 15 Abs. 3 DSGVO auch keine Pflicht zur Vorlage eines Datenbankauszugs abgeleitet werden könne. Die Vorbringen der Beschwerdeführerin sind daher in diesem Zusammenhang präjudiziell.

3.4. Zu Spruchpunkt A I.)

3.4.1. Der OGH legte mit Beschluss vom 18.02.2021, Zl. 6 Ob 159/20f, folgende Frage dem EuGH zur Vorabentscheidung vor:

„Ist Art 15 Abs 1 lit c der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, ABl L 119/1 vom 4. Mai 2016, S 1; im Folgenden „DSGVO“) dahingehend auszulegen, dass sich der Anspruch auf die Auskunft über Empfängerkategorien beschränkt, wenn konkrete Empfänger bei geplanten Offenlegungen noch nicht feststehen, der Auskunftsanspruch sich aber zwingend auch auf Empfänger dieser Offenlegungen erstrecken muss, wenn Daten bereits offengelegt worden sind?“

3.4.2. Der Wortlaut von Art. 15 Abs. 1 lit. c DSGVO lässt keine abschließende Beurteilung der Frage zu.

3.4.3. Der OGH führte dazu in seinem Beschluss vom 18.02.2021 Folgendes aus:

„Die deutsche Fassung deutet, indem sie in Art 15 Abs 1 zweiter Halbsatz DSGVO auf die Reichweite des Auskunftsrechts des Betroffenen und nicht etwa der korrelierenden Auskunftsverpflichtung des Verantwortlichen abstellt, eher auf ein Wahlrecht des Betroffenen hin.

Nichts anderes ergibt sich aus der Formulierung des entsprechenden Textabschnitts in der englischen (arg: „[…] the right to obtain […] access to […] the following information: […] the recipients or categories of recipient to whom the personal data have been or will be disclosed“) und der französischen Sprachfassung (arg: „[…] le droit d'obtenir […] les informations suivantes: les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées […]“).

Anders als in Art 15 DSGVO wird in Art 13 Abs 1 lit e und Art 14 Abs 1 lit e DSGVO kein (Auskunfts-)Recht des Betroffenen auf Informationen über „Empfänger oder Kategorien von Empfängern“ statuiert, sondern vielmehr eine Informationspflicht des Verantwortlichen.

Dazu kommt, dass die in Art 13 und 14 DSGVO vorgesehene Informationspflicht am – zwangsläufig der Datenverarbeitung vorgelagerten – Zeitpunkt der Datenerhebung anknüpft, sodass die Informationen stets vorab, also in einem Stadium zu erteilen sind, in dem es noch zu keiner tatsächlichen Offenlegung von Daten gegenüber Dritten gekommen sein kann. Der Auskunftsanspruch nach Art 15 DSGVO erstreckt sich dagegen nicht bloß auf die aktuell verarbeiteten Daten des Betroffenen, sondern schon nach seiner Zweckrichtung auch auf den in der Vergangenheit verarbeiteten Datenbestand (grundlegend EuGH Rs C-553/07, Rijkeboer, ECLI:EU:C:2009:293, Rz 51 ff; die überzeugenden auf das Telos des Auskunftsanspruchs abstellenden Erwägungen dieser Entscheidung sind auch auf den Auskunftsanspruch nach Art 15 DSGVO zu übertragen, zumal sich aus ErwGr 9 und 10 der DSGVO ableiten lässt, dass der Europäische Gesetzgeber eine Herabsetzung des Schutzniveaus gegenüber der RL 95/46/EG ganz allgemein nicht intendiert hat).

ErwGr 63 der DSGVO spricht davon, „jede betroffene Person sollte daher ein Anrecht darauf haben zu wissen und zu erfahren, … wer die Empfänger der personenbezogenen Daten sind, …“. Hier wird also nicht bloß von „Kategorien von Empfängern“ gesprochen, was ebenfalls dafür spricht, dass der Verantwortliche die einzelnen Empfänger namentlich nennen muss.

Vor diesem Hintergrund hat sich die Auslegung des Art 15 Abs 1 lit c DSGVO in erster Linie am Normzweck zu orientieren: Dabei ist zunächst auf das bereits dargelegte Telos des Auskunftsrechts als Hilfsanspruch zur effektiven Rechtsdurchsetzung, insbesondere der Betroffenenrechte nach Art 16  ff DSGVO, zu verweisen. Dieser Regelungszweck spricht klar für ein – vom Wortlaut der Bestimmung durchaus gedecktes – Verständnis dahingehend, dass nicht dem Verantwortlichen ein Auswahlermessen hinsichtlich der Frage zukommt, wie konkret er dem Ersuchen um Auskunft über die Empfänger personenbezogener Daten nachkommen will; vielmehr soll grundsätzlich der Betroffene die Wahl haben, ob er Auskunft nur über abstrakte Empfängerkategorien oder über die konkreten Empfänger seiner Daten begehrt. Das gegenteilige Normverständnis, aufgrund dessen sich der Verantwortliche letztlich immer darauf zurückziehen könnte, bloß über die Empfängerkategorie zu informieren, führte zu einer erheblichen Beeinträchtigung der vom Europäischen Gesetzgeber angestrebten Effektivität der dem Betroffenen zum Schutz seiner Daten zur Verfügung stehenden Rechtsbehelfe: Hat nämlich der Verantwortliche – wie das Berufungsgericht und die Beklagte meinen – die freie Wahl, wird kaum jemals ein Verantwortlicher die mit erheblichem Mehraufwand verbundene Detailauskunft über konkrete Empfänger erteilen. Diesfalls wird der Betroffene in aller Regel nur über abstrakte Empfängerkategorien informiert werden.“

3.4.4. Die Beantwortung der vom OGH dem EuGH zur Vorabentscheidung vorgelegten Frage ist für das gegenständliche Verfahren im Sinne der oben angeführten Judikatur relevant; sie ist auch präjudiziell: Wird die Frage bejaht, hätte die Beschwerdeführerin die Auskunftspflicht nach Art. 15 DSGVO mangels namentlicher Nennung der konkreten Empfänger noch nicht vollständig erfüllt und wäre die Beschwerde diesbezüglich – vorbehaltlich der rechtlichen Beurteilung des diesbezüglichen weiteren Vorbringens der Beschwerdeführerin - voraussichtlich abzuweisen.

3.4.5. Es wird daher die Aussetzung des Beschwerdeverfahrens – mit nicht bloß verfahrensleitendem Beschluss (vgl VwGH 20.12.2017, Ra 2017/12/0019) – hinsichtlich des Spruchpunktes 2.a. des angefochtenen Bescheides bis zur Vorabentscheidung durch den EuGH über die mit Beschluss des Obersten Gerichtshofes vom 18.02.2021, Zl. 6 Ob 159/20f (beim EuGH anhängig unter C-154/21), vorgelegten Frage beschlossen.

3.5. Zu Spruchpunkt A II.)

3.5.1. Das Bundesverwaltungsgericht legte mit Beschluss vom 09.08.2021, Zl. W211 2222613-2/12E, folgende Fragen dem EuGH, welche zur Zl. C-487/21 anhängig sind, zur Vorabentscheidung vor:

„1. Ist der Begriff der „Kopie“ in Art 15 Abs. 3 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, ABl L 119/1 vom 4. Mai 2016, S. 1; im Folgenden: „DSGVO“) dahingehend auszulegen, dass damit eine Fotokopie bzw. ein Faksimile oder eine elektronische Kopie eines (elektronischen) Datums gemeint ist, oder fällt dem Begriffsverständnis deutscher, französischer und englischer Wörterbücher folgend unter den Begriff auch eine „Abschrift“, un „double“ („duplicata“) oder ein „transcript“?

2. Ist Art 15 Abs. 3 Satz 1 DSGVO, wonach „der Verantwortliche eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zur Verfügung stellt, dahingehend auszulegen, dass darin ein allgemeiner Rechtsanspruch einer betroffenen Person auf Ausfolgung einer Kopie – auch – gesamter Dokumente enthalten ist, in denen personenbezogene Daten der betroffenen Person verarbeitet werden, bzw. auf Ausfolgung einer Kopie eines Datenbankauszuges bei Verarbeitung der personenbezogenen Daten in einer solchen, oder besteht damit – nur – ein Rechtsanspruch für die betroffene Person auf originalgetreue Reproduktion der nach Art 15 Abs. 1 DSGVO zu beauskunftenden personenbezogenen Daten?

3. Für den Fall, dass die Frage 2. dahingehend beantwortet wird, dass nur ein Rechtsanspruch für die betroffene Person auf originalgetreue Reproduktion der nach Art 15 Abs. 1 DSGVO zu beauskunftenden personenbezogenen Daten besteht, ist Art 15 Abs. 3 Satz 1 DSGVO dahingehend auszulegen, dass es bedingt durch die Art der verarbeiteten Daten (zum Beispiel in Bezug auf die im Erwägungsgrund 63 angeführten Diagnosen, Untersuchungsergebnisse, Befunde oder auch Unterlagen im Zusammenhang mit einer Prüfung im Sinne des Urteils des Gerichtshofs der Europäischen Union vom 20. Dezember 2017, C-434/16, ECLI:EU:C:2017:994) und das Transparenzgebot in Art 12 Abs. 1 DSGVO im Einzelfall dennoch erforderlich sein kann, auch Textpassagen oder ganze Dokumente der betroffenen Person zur Verfügung zu stellen?

4. Ist der Begriff „Informationen“, die nach Art 15 Abs. 3 Satz 3 DSGVO der betroffenen Person dann, wenn diese den Antrag elektronisch stellt, „in einem gängigen elektronischen Format zur Verfügung zu stellen“ sind, „sofern sie nichts anderes angibt“, dahingehend auszulegen, dass damit allein die in Art 15 Abs. 3 Satz 1 genannten „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ gemeint sind?

a. Falls die Frage 4. verneint wird: Ist der Begriff „Informationen“, die nach Art 15 Abs. 3 Satz 3 DSGVO der betroffenen Person dann, wenn diese den Antrag elektronisch stellt, „in einem gängigen elektronischen Format zur Verfügung zu stellen“ sind, „sofern sie nichts anderes angibt“, dahingehend auszulegen, dass darüber hinaus auch die Informationen gemäß Art 15 Abs. 1 lit a) bis h) DSGVO gemeint sind?

b. Falls auch die Frage 4.a. verneint wird: Ist der Begriff „Informationen“, die nach Art 15 Abs. 3 Satz 3 DSGVO der betroffenen Person dann, wenn diese den Antrag elektronisch stellt, „in einem gängigen elektronischen Format zur Verfügung zu stellen“ sind, „sofern sie nichts anderes angibt“, dahingehend auszulegen, dass damit über die „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ sowie über die in Art. 15 Abs. 1 lit a) – h) DSGVO genannten Informationen hinaus beispielsweise dazugehörende Metadaten gemeint sind?“

3.5.2. Der Wortlaut von Art. 15 Abs. 3 DSGVO lässt keine abschließende Beurteilung der Fragen zu.

3.5.3. Das Bundesverwaltungsgericht führte dazu in seinem Beschluss vom 18.02.2021 Folgendes aus:

„1. Zur Frage, was genau mit einer „Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ im Art 15 Abs. 3 DSGVO gemeint ist, liegen in Österreich und Deutschland unterschiedliche Lehrmeinungen vor:

1.1. Für eine restriktive Auffassung: Recht auf Kopie als nähere Spezifizierung des Rechts auf Auskunft; kein Recht auf Dokumente oder ähnliches:

Nach Paal in Paal/Pauly [Hrsg.], Datenschutz-Grundverordnung, Bundesdatenschutzgesetz (DS-GVO/BDSG3), C.H. Beck, 2021, Art 15 RZ 33f, ist mit Kopie in Abs. 3 die gemäß Abs. 1 in Bezug auf die personenbezogenen Daten zu erteilende Auskunft gemeint, sodass das Recht auf Kopie in seiner materiell-rechtlichen Reichweite keinesfalls über das in Abs. 1 geregelte Auskunftsrecht hinausgehen kann. Sinn und Zweck des Artikels 15 sei es, den betroffenen Personen die Überprüfung der Rechtmäßigkeit der Datenverarbeitungen zu ermöglichen, wobei diese Lesart durch Erwägungsgrund 63 Satz 1 unterstrichen werde. Zu diesem Zwecke sei es ausreichend, dass die betroffene Person die in Abs. 1 lit a bis h genannten Angaben in Kopie erhalte. Weitergehende Informationen seien gerade nicht erforderlich. Für die betroffenen Unternehmen würde eine hierüber hinausgehende Auffassung gesteigerten finanziellen, praktischen sowie rechtlichen Aufwand bedeuten. Bei einer extensiven Auslegung wäre eine Abwägung mit Rechten und Freiheiten Dritter (Abs. 4) nicht möglich. Das Erfordernis einer solchen Abwägung werde aber (mittelbar) durch den Erwägungsgrund 63 verdeutlicht.

Jahnel führt im Kommentar zur DSGVO, Jan Sramek Verlag, 2021, Art 15, RZ 37f, 42f, aus, dass die Systematik des Art 15 Abs. 3 unter anderen die Frage aufwerfe, ob der Umfang des Rechts nach Art 15 Abs. 3 soweit gehe, dass er der betroffenen Person ein Recht auf Kopie sämtlicher beim/bei der Verantwortlichen gespeicherte Dokumente einräume? Laut Duden bedeute Kopie eine „Abschrift, Durchschrift oder sonstige originalgetreue Reproduktion“. Gemäß Art 15 Abs. 3 sei eine Kopie der Daten, die verarbeitet würden, zur Verfügung zu stellen, und nicht von einer Kopie der Dokumente, in welchen die Daten verwendet würden, die Rede. Daher sei diese Wendung als Recht auf originalgetreue Darstellung jener Daten zu verstehen, die Gegenstand der Verarbeitung seien. Um die Voraussetzungen „originalgetreu“ zu erfüllen, müssten die tatsächlich verarbeiteten Daten aus der konkreten Datenverarbeitung reproduziert und damit kopiert und beauskunftet werden. Der Zweck dieser Anordnung könne dann in der Sicherstellung der Datenidentität bei der Auskunftserteilung gesehen werden, und damit in der Korrektheit der Datenauskunft in Bezug auf die konkret verarbeiteten Daten. Dies sei dann erfüllt, wenn der/die Verantwortliche die verarbeiteten Datenkategorien zusammen mit ihrem konkreten Inhalt, betreffend den/die Auskunftswerber_in, direkt aus der Datenverarbeitung exportiere, also in diesem Sinne „kopiere“. So interpretiert sei Art 15 Abs. 3 Satz 1 als nähere Konkretisierung des allgemeinen Anspruchs auf Auskunft über die personenbezogenen Daten in Art 15 Abs. 1 zu verstehen, der nur den grundsätzlichen Auskunftsanspruch festschreibe, aber keinerlei Angaben über Form und Inhalt der Auskunftserteilung enthalte.

Art 15 Abs. 4 lege fest, dass das Recht auf Erhalt einer Kopie „gemäß Abs. 3“ die Rechte und Freiheiten anderer Personen nicht beeinträchtigen dürfe. Dieser explizite Verweis auf das Recht auf Kopie in Abs. 3 scheine auf den ersten Blick der bisher erarbeiteten Systematik zu widersprechen, weil es sich nach dem Wortlaut nur auf das Recht auf Kopie und nicht auf das inhaltliche Auskunftsrecht gemäß Art 15 Abs. 1 beziehe. Dieser Widerspruch löse sich aber auf, wenn man das Recht auf Kopie als nähere Bestimmung hinsichtlich der Art und Weise betrachten würde, wie eine Auskunft über personenbezogene Daten der betroffenen Person nach Art 15 Abs. 1 zu erteilen sei. Dann beziehe sich nämlich die Verpflichtung zu einer Interessensabwägung auf die gesamte inhaltliche Auskunftserteilung. Diese Sichtweise werde auch durch Erwägungsgrund 63 unterstrichen. Zwar beinhalte dieser Erwägungsgrund keinerlei Anhaltspunkte hinsichtlich der Interpretation des Rechts auf Kopie gemäß Art 15 Abs. 3. Er bringe aber zwei Dinge klar zum Ausdruck: Zunächst eine Aussage über den Sinn und Zweck des Auskunftsrechts, nämlich „um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können“. Damit gehe es bei Art 15 darum, dass die betroffene Person ausreichende Informationen über die konkrete Verarbeitung erhalte, um ihre betroffenen Rechte geltend machen zu können und nicht darum, dass sie Duplikate sämtlicher Dokumente des/der Verantwortlichen erhalte, indem ihre Daten enthalten seien. Weiters solle das Recht auf Auskunft „die Rechte und Freiheiten anderer Personen […] nicht beeinträchtigen“. Daraus könne geschlossen werden, dass der europäische Gesetzgeber die Interessenabwägung nach Art 15 Abs. 4 auf die gesamte inhaltliche Auskunft angewendet wissen wollte, also sowohl auf das inhaltliche Auskunftsrecht nach Art 15 Abs. 1 als auch auf dessen nähere Spezifizierung in Form des Rechts auf Kopie nach Art 15 Abs. 3.

1.2. Für eine extensive Auffassung:

Dix in Simitis/Hornung/Spiecker [Hrsg.], Datenschutzrecht, DSGVO mit BDSG, Nomos Verlagsgesellschaft, 2019, Art 15, RZ 28, 33, meint dazu, dass die DSGVO der betroffenen Person erstmals einen Anspruch auf eine Kopie der sie betreffenden Daten einräume, die Gegenstand der Verarbeitung seien. Dieses Recht auf eine Datenkopie stärke die Stellung der betroffenen Person erheblich. Das Recht auf Datenkopie sei eine besondere Form der Auskunft und keine gesonderte Herausgabepflicht. Sie beziehe sich auf die nach Abs. 1 zu erteilende Auskunft über die zu ihrer Person verarbeiteten Daten. Allerdings sei das Recht auf Datenkopie nicht identisch mit dem Recht auf Auskunft; die Kopie könne die Auskunft schon deshalb nicht ersetzen, weil der kopierte Datensatz häufig durch eine erläuternde Auskunft ergänzt werden müsse, um für die betroffene Person verständlich zu sein. Der/die Verantwortliche sei nach Art 12 Abs. 1 dazu verpflichtet, die Verständlichkeit - falls nötig - auch durch die Beantwortung von Rückfragen herzustellen. Das Recht auf Datenkopie nach Abs 3 Satz 1 beziehe sich auf die Daten in der Form, wie sie dem/der Verantwortlichen vorliegen würden (zum Beispiel grundsätzlich auch genetische Rohdaten von Patienten/Patientinnen oder Probanden). Diese_r sei nicht verpflichtet, die Daten in einer bestimmten Form aufzubereiten, damit sie die betroffene Person weiterverarbeiten könne. Etwas anderes gelte nur bei elektronischer Beantragung einer Datenkopie.

Stellte der/die Verantwortliche der betroffenen Person eine Kopie ihrer Daten zur Verfügung, so dürfe dies die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Rechte und Freiheiten Dritter könnten dadurch beeinträchtigt werden, dass die Daten der betroffenen Person gemeinsam mit den Daten Dritter verarbeitet würden (zum Beispiel in Form von Papier-Listen). Dies rechtfertige allerdings in aller Regel nicht, der betroffenen Person die Aushändigung einer Kopie vollständig zu verweigern. Vielmehr habe der/die Verantwortliche bei konventioneller (analoger) Datenverarbeitung die Datenblätter für die Bereitstellung der Kopie zu schwärzen. Bei automatisierter Datenverarbeitung sei die Herstellung einer elektronischen Teilkopie ohnehin dann unproblematisch, wenn es sich nicht um Daten mit doppeltem oder mehrfachem Personenbezug handle.

Haidinger vertritt in Knyrim [Hrsg.], Der DatKomm, Praxiskommentar zum Datenschutzrecht, DSGVO und DSG, Manz Verlag, 2021, Art 15 DSGVO, RZ 35, den Standpunkt, dass die betroffene Person über die Information hinaus, welche Daten über sie konkret verarbeitet würden, Anspruch auf eine Kopie der Daten habe, die Gegenstand der Verarbeitung seien. Ein Recht auf Herausgabe der Kopie der Daten sei von der (österreichischen früheren) Datenschutzkommission bislang ausdrücklich verneint worden. Mit Kopien der Daten seien E-Mails, Datenbankauszüge etc gemeint, was im Hinblick auf Freitextfelder in Datenbanken durchaus riskant für den/die Verantwortliche_n sein könne. Der Anspruch auf Datenkopie stehe selbständig neben dem Anspruch auf inhaltliche Auskunft über die verarbeiteten Daten. Die Übermittlung der Datenkopie werde beide Ansprüche abdecken, wenn sich die Daten aus der Kopie nach Maßgabe des Transparenzgebots für die betroffene Person erschließen würden, also insbesondere Erläuterungen angeschlossen seien. Eine Aufbereitung der Datenkopie selbst dürfe – vorbehaltlich Art 15 Abs. 4 – nicht erfolgen, weil sonst der Inhalt verändert würde.

Ehmann in Ehmann/Selmayr [Hrsg.], Datenschutz-Grundverordnung (DS-GVO2), C.H. Beck, 2018, Art 15, thematisiert den Umfang oder die Art der Kopie nicht, meint aber zu Abs. 3 Satz 3 von Art 15 DSGVO, dass dieser davon spreche, dass „Informationen“ zur Verfügung zu stellen seien und nicht lediglich die personenbezogenen Daten, was keine Ungenauigkeit der Formulierung darstelle. In Abs. 3 Satz 1 und 2 sei zutreffend die Rede von einer „Kopie der personenbezogenen Daten“, da nur diese Gegenstand einer Kopie durch den/die Verantwortliche_n sein könnten. Abs. 3 Satz 3 verwende dagegen den Begriff der Informationen, um auch die Form festzulegen, in der über die „eigentlichen“ personenbezogenen Daten hinaus die zugehörigen Metadaten zur Verfügung zu stellen seien.

2. Ebenso kommen österreichische und deutsche Gerichte bei dieser Frage zu unterschiedlichen Auslegungen:

2.1. Für einen restriktiven Zugang:

Das (österreichische) Bundesverwaltungsgericht entschied mit Erkenntnis vom 23.09.2020 zur Zl W256 2226269-1/13E, über den Begriff der Kopie, dass

„Art 15 Abs. 1 DSGVO das Recht auf Auskunft auf personenbezogene Daten im Sinne des Art 4 Abs. 1 DSGVO und mit diesen in Zusammenhang stehenden in Abs. 2 konkret festgelegten Zusatzinformationen beschränkt. Da der Begriff der personenbezogenen Daten nach Art 4 Abs. 1 DSGVO vielfältig und nicht (immer) auf einzelne Daten beschränkt sein muss (siehe dazu Erwägungsgrund 63 in Bezug auf Informationen wie z.B. Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen und Eingriffen sowie EuGH, 20.12.2017, C434/16 in Bezug auf schriftliche Antworten eines Prüflings in einer berufsbezogenen Prüfung und etwaigen Anmerkungen des Prüfers zu diesen Antworten) kann es – dem Erfordernis einer transparenten Information entsprechend – daher mitunter im Einzelfall erforderlich oder auch zweckmäßig sein, dass auch einzelne Textpassagen oder auch Dokumente der betroffenen Person vom Verantwortlichen zur Verfügung zu stellen sind. Ein generelles Recht auf Erhalt von Dokumenten, in denen personenbezogene Daten verarbeitet werden, kann aus Art 15 DSGVO aber nicht abgeleitet werden.

Art 15 Abs. 3 DSGVO legt auch lediglich fest, dass der Verantwortliche eine Kopie der Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen hat.

Dabei handelt es sich allein um eine Modifikation der Form der Unterrichtung im Vergleich zu Art 12 DSGVO und nicht um ein eigenständiges, insbesondere neben dem Recht auf Auskunft nach Art 15 Abs. 1 DSGVO bestehendes Recht auf Erhalt einer Kopie. Art 15 Abs. 3 DSGVO legt vielmehr fest, dass das Recht auf Auskunft nach Art 15 Abs. 1 DSGVO in Form einer Kopie der Daten der betroffenen Person vom Verantwortlichen zur Verfügung zu stellen ist, weshalb der betroffenen Person ein Recht auf Erhalt einer Kopie allein in Bezug auf ihr Auskunftsrecht zukommt (siehe dazu auch Paal in Paal-Pauly (Hrsg.), Datenschutzgrundverordnung² zu Art 15, Rn 33).“

Das (deutsche) Arbeitsgericht Bonn erkannte am 16.07.2020 zur Zl 3 Ca 2026/19, dass

„nach Auffassung der Kammer der Anspruch auf Herausgabe einer Kopie der Daten lediglich die Übermittlung einer Liste der gespeicherten Daten beinhaltet. Der Begriff Kopie ist insoweit als ein Exemplar einer Liste von Daten zu verstehen.

Dies ergibt sich aus dem Zusammenspiel von Satz 1 und Satz 2 von Art. 15 Abs. 3 DSGVO und dem sich daraus ergebenden Sinn und Zweck der Norm. Die Vorschrift will bestimmen, dass eine „Kopie“ kostenlos ist und für weitere Kopien ein Entgelt verlangt werden kann. Dies wird deutlich durch einen Blick auf die im Originaltext der Verordnung verwendeten englischen bzw. französischen Begriffe „COPY“ und „COPIE“, die jedenfalls auch mit „Exemplar“ übersetzt werden können. Es sind aus dem Sinn und Zweck der Norm keine Umstände ersichtlich, dass über die Information über das gespeicherte Datum hinaus noch eine Herausgabepflicht von Unterlagen bestehen soll, wie der Kläger es mit seinem Antrag verlangt. Sollte also die Beklagte die Aussage eines Betriebsratsmitgliedes über eine vom Kläger veranlasste Hotelbuchung gespeichert haben, so wäre sie verpflichtet, auf ein entsprechend konkretisiertes Auskunftsersuchen des Klägers diese gespeicherten Daten gegenüber dem Kläger offenzulegen. Eine Herausgabe des Protokolls über diese Aussage beinhaltet die Verpflichtung zur Verfügungstellung einer Kopie gemäß Art. 15 Abs. 3 DSGVO jedoch nicht.

2.2. Für einen extensiven Zugang:

Der (österreichische) Oberste Gerichtshof (OGH) hatte mit Urteil vom 17.12.2020, 6 Ob 138/20t, über die Frage der kostenlosen Übermittlung einer gesamten Krankengeschichte – über einen Patientenbrief hinausgehend – zu urteilen und sprach dabei aus, dass nach

„Art 15 Abs. 3 DSGVO eine Kopie der personenbezogenen Daten zur Verfügung zu stellen [ist], die Gegenstand der Verarbeitung sind. Personenbezogene Daten sind nach Art 4 Z 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, wobei als identifizierbar eine Person angesehen wird, die direkt oder indirekt identifiziert werden kann.

Wie bereits die Vorinstanzen ausführten, geht der Verordnungsgesetzgeber ausdrücklich davon aus, dass das Auskunftsrecht der betroffenen Person auch ihre eigenen gesundheitsbezogenen Daten, wie etwa Daten in den Patientenakten, Diagnosen, Untersuchungsergebnisse, Befunde der nachbehandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen umfasst (DSGVO ErwGr 63). […]

Wären in der Krankengeschichte Daten enthalten, die sich nicht auf den Kläger beziehen, wäre es an der Beklagten gelegen, dies vorzubringen. Dies hätte jedoch nicht schlechthin die Klageabweisung zur Folge. Vielmehr bestünde in einem solchen Fall ein Anspruch der betroffenen Person auf Zurverfügungstellung einer Teilkopie, die bloß die personenbezogenen Daten enthält oder in der die übrigen Daten unkenntlich gemacht sind (vgl Bäcker in Kühling/Buchner, DSGVO/BDSG³ Art 15 DSGVO Rz 41).

Die Kopie hat vollständig zu sein (Bäcker in Kühling/Buchner, DSGVO/BDSG³ Art 15 DSGVO Rz 41). Die Aushändigung des Patientenbriefs ist daher nicht ausreichend.

Nach Art 15 Abs 3 DSGVO stellt der Verantwortliche eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung; für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen.

Nach Art 12 Abs 5 DSGVO werden „alle Mitteilungen und Maßnahmen gemäß den Art 15 bis 22 und 34 DSGVO“ unentgeltlich zur Verfügung gestellt. […] Aus diesen Bestimmungen wird abgeleitet, dass die erste Kopie der personenbezogenen Daten für die betroffene Person kostenfrei ist (Bäcker in Kühling/Buchner, DSGVO/BDSG³ Art 15 DSGVO Rz 45; Dix in Simitis/Hornung/Spiecker, Datenschutzrecht [2019] Art 12 DSGVO Rz 30, Art 15 Rz 30; Ehmann in Ehmann/Selmayr, DS-GVO² [2018] Art 15 Rz 28; Paal in Paal/Pauly, DSGVO/BDSG² Art 15 DSGVO Rz 34 f; Franck in Gola, DS GVO² [2018] Art 15 Rz 32; Stollhoff in Auernhammer, DSGVO/BDSG6 [2018] Art 15 Rz 30; Specht in Sydow, EU DSGVO² Art 15 Rz 20; Diregger, Handbuch Datenschutzrecht [2018] 733; Souhrada-Kirchmayer, Das Auskunftsrecht nach der Datenschutz-Grundverordnung, Jahrbuch Datenschutzrecht 2017, 75, 80).

Als Zwischenergebnis ist daher festzuhalten, dass sich aus Art 15 Abs 3, Art 12 Abs 5 DSGVO grundsätzlich das Recht des Patienten auf Zurverfügungstellung einer Kopie seiner Krankengeschichte ergibt, wobei die erste Kopie kostenlos zur Verfügung zu stellen ist.“

Mit Erkenntnis vom 02.03.2020 zur Zl. W214 2224106-1/13E sprach das (österreichische) Bundesverwaltungsgericht in einer Angelegenheit, in der eine Beschwerdeführerin nach Art 15 Abs. 3 DSGVO um die Auskunft ersuchte, sämtliche ihrer Eingaben mit Datum des Einlangens und Bezeichnung der Verwaltungssache aufzulisten und eine kostenlose Kopie zur Verfügung zu stellen, aus, dass

„schon aus dem Wortlaut des Art. 15 Abs. 3 DSGVO folgt, dass eine Kopie der Daten kostenlos an den Auskunftswerber zu übersenden ist. Erst wenn die betroffene Person mehr als eine Kopie wünscht, darf der Verantwortliche für diese zusätzlichen Kopien ein angemessenes Entgelt auf Grundlage der Verwaltungskosten verrechnen (vgl. auch Haidinger in Knyrim, DatKomm Art 15 DSGVO Rz 36 (Stand 1.10.2018, rdb.at)).“

Das (deutsche) Verwaltungsgericht Schwerin entschied am 29.04.2021 zur Zl. 1 A 1343/19 SN, über die Zurverfügungstellung einer Kopie eines Sachverständigengutachtens dahingehend, dass

„was unter „Kopie“ gemäß Art. 15 Abs. 3 DS-GVO zu verstehen ist, umstritten [ist]. Nach einer extensiven Ansicht sind sämtliche gespeicherten und/oder verarbeiteten personenbezogenen Daten in der vorliegenden Rohfassung zu übermitteln (so: Kühling/Buchner/Bäcker, 3. Aufl. 2020, DS-GVO Art. 15 Rn. 39a; BeckOK DatenschutzR/B.-Wudy, 34. Ed. 1. November 2020, DS-GVO Art. 15 Rn. 85; Halder/Johanson, NJOZ 2019, 1457 (1459); VG Gelsenkirchen, Urteil vom 27. April 2020 – 20 K 6392/18, NVwZ-RR 2020, 1070 Rn. 78, beck-online; AG Bonn, Urteil vom 30. Juli 2020 – 118 C 315/19, BeckRS 2020, 19548 Rn. 15, 16); nach der restriktiven Gegenansicht regelt Art. 15 Abs. 3 Satz 1 DS-GVO lediglich eine besondere Form der Auskunft und bezieht sich nur auf die Informationen aus Abs. 1, der jedoch keinen Anspruch auf vollständige Datenauskunft, sondern nur auf Übersicht der Daten enthält (vgl. zum Streitstand: BeckOK DatenschutzR/B.-Wudy, 34. Ed. 1. November 2020, DS-GVO Art. 15 Rn. 85; und Paal/Pauly/Paal, 3. Aufl. 2021, DS-GVO Art. 15 Rn. 33 m.w.N.).

Das Gericht hat oben bereits dargelegt, dass es davon ausgeht, dass der DS-GVO ein extensives Verständnis von personenbezogenen Daten zu Grunde liegt. Die restriktive Auffassung, dass eine Auskunft lediglich in Form einer Übersicht der gespeicherten Informationen zu erfolgen hat, ist daher abzulehnen. Aus Sicht des Gerichts kann es dahinstehen, ob Art. 15 Abs. 3 DS-GVO einen eigenständigen Anspruch oder nur eine Erweiterung des in Art. 15 Abs. 1 DS-GVO enthaltenen Auskunftsanspruchs darstellt. Denn personenbezogene Daten sollen umfassend geschützt werden. Dieser Schutz kann nur konsequent verwirklicht werden, wenn eine Auskunft über die vollständig gespeicherten Daten erteilt wird. Art. 15 DS-GVO kann in seiner Gesamtheit nur so verstanden werden, dass entweder das „Recht auf Auskunft über diese personenbezogenen Daten“ nach Art. 15 Abs. 1 Halbsatz 2 DS-GVO bereits ein Auskunftsrecht über sämtliche Informationen beinhaltet (Wortlaut: „Auskunft über diese personenbezogenen Daten und folgende Informationen“), welches durch Abs. 3 dahingehend erweitert wird, dass dem Betroffenen auch die Überlassung einer Kopie der Daten zusteht, oder im Recht auf „Kopie“ nach Art. 15 Abs. 3 DS-GVO ein eigenständiger Anspruch auf Überlassung der vollständigen Informationen zu sehen ist. Andernfalls wäre eine Überprüfung auf Richtigkeit der gespeicherten Daten und das Recht auf Berichtigung nach Art. 16 DS-GVO nicht umsetzbar. Ohne Kenntnis der konkreten Daten, ist eine Überprüfung auf Richtigkeit nicht möglich. Anhand einer Übersicht, dass etwa Name, Adresse und eine gewisse Anzahl von Fotos, etc. gespeichert werden, lässt sich nicht überprüfen, ob die Daten auch inhaltlich zutreffend erfasst wurden, etwa ob der Name richtig geschrieben wurde oder ob bei zugeordneten Fotos überhaupt ein Zusammenhang mit der betroffenen Person besteht. So können beispielsweise Bilder von verschiedenen Eigentumsobjekten falsch zugeordnet sein. Selbst bei Annahme größtmöglicher Sorgfalt, ist es nicht auszuschließen, dass bei der Verarbeitung großer Datenmengen in jedem Fall eine richtige Zuordnung vorgenommen wird. Dies gilt insbesondere dann, wenn sich etwa die betreffenden Informationen ähneln (Beispiele: Fotos von baugleichen Reihenhäusern oder von eineiigen Zwillingen), die Daten auf einem Datenträger erfasst wurden und erst im Nachgang eine abschließende Zuordnung zu einer Akte bzw. einem Datensatz erfolgt. Eine Überprüfung der richtigen Erfassung durch den Betroffenen ist nur bei vollständiger Kenntnis der Daten möglich. Gleiches gilt für das Recht auf Löschung nach Art. 17 DS-GVO. Für diese Sichtweise spricht auch der Erwägungsgrund 63 der DS-GVO. Aus diesem wird ersichtlich, dass der Normgeber einen eigenständigen und direkten Zugang des Betroffenen zu seinen Daten ermöglichen will („Nach Möglichkeit sollte der Verantwortliche den Fernzugang zu einem sicheren System bereitstellen können, der der betroffenen Person direkten Zugang zu ihren personenbezogenen Daten ermöglichen würde.“). Es wird nicht davon gesprochen, dass die betroffene Person Zugang zu einer Übersicht ihrer personenbezogenen Daten, sondern „direkten Zugang“ zu den Daten erhalten soll.“

3. Erwägungen des beschließenden Senats:

3.1. In der vom Bundesverwaltungsgericht im gegenständlichen Beschwerdeverfahren noch zu beurteilenden Frage geht es darum, ob mit der Übermittlung der personenbezogenen Daten des Beschwerdeführers im Rahmen einer Tabelle und einer Übersicht im Auskunftsschreiben der Kreditauskunftei dem Rechtsanspruch gemäß Art 15 Abs. 3 DSGVO auf Erhalt einer Kopie entsprochen wurde, oder ob der Beschwerdeführer einen Rechtsanspruch auf Ausfolgung einer Kopie seiner personenbezogenen Daten, die von der mitbeteiligten Partei verarbeitet werden, nicht in isolierter Gestalt, sondern in Form von Kopien oder Auszügen allfälliger Korrespondenzen und Datenbankinhalten oder ähnliches, hat. Wird letzteres bejaht, so ist seiner diesbezüglichen Beschwerde stattzugeben, da derartige Dokumente von der mitbeteiligten Partei bisher nicht ausgefolgt wurden, und die Datenschutzbehörde im angefochtenen Bescheid einen solchen Anspruch verneinte.

3.2. Auf Grundlage der strittigen Lehrmeinungen und der ebenfalls uneinheitlichen Rechtsprechung aus den exemplarischen Beispielen stellt sich für den beschließenden Senat die Frage, was genau mit dem Begriff der „Kopie“ in Art 15 Abs. 3 Satz 1 DSGVO im Wortsinn gemeint ist (Vorlagefrage 1).

Geht es weiter dabei um eine Spezifizierung bzw. Modifizierung des allgemeinen Auskunftsrechts nach Art 15 Abs. 1 DSGVO und wird mit der Bestimmung eher festgelegt, wie eine betroffene Person die Auskunft über ihre personenbezogenen Daten, die verarbeitet werden, erhalten soll? Oder normiert die Bestimmung tatsächlich einen eigenen, selbständigen und über das Auskunftsrecht des Art 15 Abs. 1 DSGVO hinausgehenden Rechtsanspruch auf Fotokopie/Faksimile/Datenbankausdruck oder (elektronischen) Datenbankauszug bzw. auf Kopie ganzer Dokumente und Unterlagen, in denen personenbezogene Daten der betroffenen Person vorkommen? Diese Fragen begründen die Vorlagefrage 2.

Der restriktivere Zugang in Literatur und Rechtsprechung orientiert sich am Normzweck zum Auskunftsrecht als – vereinfacht gesagt – Vorbereitung zur Wahrnehmung weiterer Betroffenenrechte und stellt in diesem Sinne mehr auf die Information über die verarbeiteten personenbezogenen Daten ab, so auch in aggregierter, zum Beispiel in einer Liste dargestellter Form. Der extensive Zugang stellt den weitreichenden Schutzzweck, den die DSGVO insgesamt verfolgt, voran, aus der eine erhöhte Kontrollbefugnis der betroffenen Person hervorgehen kann: demnach würde der Rechtsanspruch auf Ausfolgung einer Kopie der Daten in Form einer Fotokopie, eines Faksimiles, Datenbankausdrucks oder eines (elektronischen) Datenbankauszugs bzw. einer Kopie ganzer Dokumente und Unterlagen die Überprüfbarkeit verstärken, nach Meinung mancher, überhaupt erst ermöglichen.

Beide Zugänge verweisen dabei auch auf die Bestimmung des Art 15 Abs. 4 DSGVO als interpretatorische Hilfe, wonach das Recht auf Erhalt einer Kopie gemäß Abs. 3 nicht die Rechte und Freiheiten anderer Personen beeinträchtigen darf. Aus dieser Bestimmung könnte nun abgeleitet werden, dass die in Kopie vorzulegenden personenbezogenen Daten nicht alleine, sondern immer im Kontext ihrer Verarbeitung, das heißt als Bestandteil eines ganzen Dokuments (wie zum Beispiel eines E-Mails) oder eines über die personenbezogenen Daten im Umfang hinausgehenden Auszugs aus einer Datenbank, vorzulegen sind. Es könnte aber auch daraus abgeleitet werden, dass sich die Bestimmung alleine auf jene Fälle bezieht, in denen die zu beauskunftenden und in Kopie zu übermittelnden personenbezogenen Daten, die Gegenstand der Verarbeitung sind, nicht isoliert werden können, weil sie, wie etwa bei einer Filmaufnahme, die auch andere Personen zeigt, untrennbar mit geschützten Daten Dritter verknüpft sind.

Im Falle einer restriktiven Auslegung des Art 15 Abs. 3 Satz 1 DSGVO dahingehend, dass mit „Kopie“ kein Rechtsanspruch auf Übermittlung von Fotokopien, ganzer Dokumente oder Datenbankauszüge gemeint ist, stellt sich im Lichte der im Erwägungsgrund 63 explizit genannten Datenarten und des Transparenzgebots des Art 12 Abs. 1 DSGVO die Frage, ob im Einzelfall und bedingt durch die Art der verarbeiteten personenbezogenen Daten doch eine Pflicht eines/einer Verantwortlichen bestehen kann, Textteile oder Dokumente in Kopie zur Verfügung zu stellen (Vorlagefrage 3).

Schließlich wird auch der Begriff der „Informationen“ in Art 15 Abs. 3 Satz 3 DSGVO für beide Auslegungswege – restriktiv und extensiv – herangezogen, weshalb es notwendig erscheint, zu fragen, ob sich dieser Begriff nun alleine auf die in Art 15 Abs. 3 Satz 1 genannten „personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ bezieht (Vorlagefrage 4), oder darüber hinausgeht und auch die Informationen gemäß Art 15 Abs. 1 lit a) bis h) umfasst (Vorlagefrage 4.a) oder auch noch darüber hinausgeht und beispielsweise zu den Daten zugehörige Metadaten meint (Vorlagefrage 4.b.).

Der beschließende Senat übersieht gegenständlich nicht, dass der Oberste Gerichtshof in Österreich bereits in seinem Urteil vom 17.12.2020, Zl 6 Ob 138/20t, eine Aussage dazu getroffen hat, dass sich aus Art 15 Abs. 3, Art 12 Abs. 5 DSGVO grundsätzlich ein Recht des Patienten/der Patientin auf Zurverfügungstellung einer Kopie der Krankengeschichte ergibt. Erwägungsgrund 63 nennt Daten aus Patientenakten ausdrücklich. Die Aussage des Obersten Gerichtshofs kann „nur“ auf Krankengeschichten bezogen, als eine besonders wesentliche und sensible Form von personenbezogenen Daten, gesehen werden, oder aber auch als Aussage zu einem allgemeinen Rechtsanspruch auf Ausfolgung von Kopien über verarbeitete personenbezogene Daten.

3. Soweit ersichtlich existiert zu den im Spruch angeführten Vorlagefragen betreffend die DSGVO keine Rechtsprechung des Gerichtshofs der Europäischen Union. Da dem Bundesverwaltungsgericht die richtige Anwendung des Unionsrechts, so des Art 15 Abs. 3 Satz 1 DSGVO, aus den genannten Gründen nicht derart offenkundig erscheint, dass für einen vernünftigen Zweifel kein Raum bleibt (vgl. EuGH, Urteil vom 6. Oktober 1982, Rs. 282/81, Slg. 1982, 3415), werden die im Spruch ausgeführten Vorlagefragen gemäß Art 267 AEUV mit dem Ersuchen um Vorabentscheidung vorgelegt.“

3.5.4. Die Beantwortung der vom Bundesverwaltungsgericht dem EuGH zur Vorabentscheidung vorgelegten Fragen (insbesondere Frage 2) ist für das gegenständliche Verfahren im Sinne der oben angeführten Judikatur relevant; sie ist auch präjudiziell: Spricht der EuGH aus, dass ein allgemeiner Rechtsanspruch einer betroffenen Person auf Ausfolgung einer Kopie eines Datenbankauszuges besteht, hätte die Beschwerdeführerin bislang keine vollständige Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, übermittelt und die Auskunftspflicht nach Art. 15 Abs. 3 DSGVO noch nicht vollständig erfüllt, weshalb die Beschwerde diesbezüglich voraussichtlich abzuweisen wäre.

3.5.5. Den Ausführungen der Beschwerdeführerin, wonach sie sämtliche Marketingklassifikationen bereits gelöscht habe, deshalb keine weiteren Informationen dazu erteilen könne, Spruchpunkt 2.b daher zu beheben und eine Aussetzung nicht geboten sei, ist entgegenzuhalten, dass sich Spruchpunkt 2.b. allgemein auf die Übermittlung einer „Kopie der personenbezogenen Daten“ bezieht und keine Einschränkung hinsichtlich der Marketingklassifikationen enthält. Auch wenn die Beschwerdeführerin keine Kopie der Marketingklassifikationen mehr übermitteln kann, verarbeitet sie dennoch zweifelsfrei weitere personenbezogene Daten des Mitbeteiligten, von denen gegebenenfalls eine Kopie übermittelt werden kann. Dass es dem Mitbeteiligten „offensichtlich darum gehe zu überprüfen. ob die sogenannten „Parteiaffinitäten“ seinem Datensatz tatsächlich nicht zugeschrieben worden seien“ ist eine Interpretation der Beschwerdeführerin, ergibt sich jedoch nicht aus dem Vorbringen des Mitbeteiligten, insbesondere hat er seinen Antrag auf Übermittlung einer Kopie auch nicht auf diese Marketingklassifikationen eingeschränkt.

3.5.6. Es wird daher die Aussetzung des Beschwerdeverfahrens – mit nicht bloß verfahrensleitendem Beschluss (vgl VwGH 20.12.2017, Ra 2017/12/0119) – hinsichtlich der Spruchpunkte 1. und 2.b. des angefochtenen Bescheides bis zur Vorabentscheidung durch den EuGH über die mit Beschluss des Bundesverwaltungsgerichtes vom 09.08.2021, Zl. W211 2222613-2/12E (beim EuGH anhängig unter C-487/21), vorgelegten Fragen beschlossen.

Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen. Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Hinsichtlich der Anwendung des § 38 AVG konnte sich das erkennende Gericht auf eine – jeweils zitierte – gefestigte Rechtsprechung des Verwaltungsgerichtshofs stützten. Eine – wie hier – im Rahmen dieser vom Verwaltungsgerichtshof aufgestellten Grundsätze vorgenommene Beurteilung einer bei einem anderen Gericht anhängigen Rechtsfrage als für das gegenständliche Verfahren präjudiziell ist nicht reversibel (vgl VwGH 13.9.2017, Ra 2017/12/0068).